CVE-2025-69093
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka ShopMagic dla WooCommerce zawiera podatność na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 4.7.2 włącznie.
Ocena ryzyka
Atakujący może uzyskać dostęp do funkcji administracyjnych bez autoryzacji, co może prowadzić do nieautoryzowanych zmian w automatyzacjach lub danych zamówień.
Rekomendacja
Zaktualizuj wtyczkę ShopMagic do najnowszej dostępnej wersji, która zawiera poprawkę bezpieczeństwa.
Inne podatności w ShopMagic
Zobacz wszystkie- CVE-2026-114195Średnie
Wtyczka ShopMagic (shopmagic-for-woocommerce) firmy WP Desk ma podatność polegającą na wstawianiu poufnych informacji do zewnętrznie dostępnego pliku lub katalogu, co pozwala na odzyskanie osadzonych poufnych danych. Problem dotyczy wersji do 4.9.1 włącznie.
- CVE-2026-103367Wysokie
Wtyczka ShopMagic – email automation dla WordPressa jest podatna na lokalne włączenie plików (LFI) we wszystkich wersjach do 4.9.0 włącznie, poprzez parametr 'billing_address.first_name'. Umożliwia to nieuwierzytelnionym atakującym włączenie i wykonanie dowolnych plików .php na serwerze, co może prowadzić do obejścia kontroli dostępu, wycieku danych lub wykonania kodu. Eksploatacja wymaga opublikowanego przepisu przetwarzającego placeholder {{ customer.first_name }} — wbudowany przepis "New Order email with social media profile links" spełnia ten warunek domyślnie, więc domyślna konfiguracja jest podatna bez konta, ciasteczka czy nonce.
- CVE-2025-59578Średnie
Wtyczka ShopMagic dla WooCommerce do wersji 4.5.6 włącznie wysyła wrażliwe informacje w przesyłanych danych, co pozwala na odzyskanie osadzonych danych wrażliwych.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in wpdesk ShopMagic shopmagic-for-woocommerce allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects ShopMagic: from n/a through <= 4.7.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS